 | Retrouvez cet article dans notre magazine Professionnels du patrimoine : quelles innovations pour aujourd’hui et demain ? Découvrir le numéro → |
Découvrez Le Brief de l’IT , la newsletter thématique gratuite d’Archimag dédiée aux professionnels des data, de l’IT, de la digitalisation et de la transformation numérique.Le dispositif de certification obligatoire des hébergeurs de données de santé tel qu’on le connaît aujourd’hui, a été officiellement créé par le décret du 26 février 2018 et l’arrêté du 11 juin 2018. Il a fait l’objet d’une révision majeure (version V2.0) publiée au Journal officiel le 16 mai 2024. Objectif : adapter le cadre réglementaire aux évolutions technologiques, aux nouvelles cybermenaces et aux enjeux juridiques, notamment en matière d’extraterritorialité.
Archimag a proposé à de très nombreux prestataires de figurer dans notre tableau comparatif (pages suivantes) afin de faire le point sur les solutions du marché. Près de trente d’entre eux ont accepté d’y répondre. Premier constat : la quasi-totalité peut aujourd’hui se prévaloir de la certification V2.0. De même, la majorité a été certifiée (totalement ou partiellement) aux activités HDS (lignes 6 à 11 du tableau). Précision importante : la certification HDS n’est pas attribuée directement par l’État ou l’Agence du numérique en santé du ministère de la Santé, mais par des organismes certificateurs indépendants (Afnor Certification, Bureau Veritas, Certi-Trust, etc.).
Gestion des accès à privilèges
Moins nombreux sont les prestataires à disposer d’une infrastructure en propre, certains recourant à des tiers via, par exemple, la location d’espaces privatifs dédiés et sécurisés. En revanche, la quasi-majorité déclare assurer un hébergement qui échappe aux lois extraterritoriales (principalement états-uniennes). Pour l’ensemble des répondants, le stockage des données principales et le stockage des sauvegardes sont assurés sur le territoire français.
Autre argument qui rassurera les organisations en quête de confidentialité, il est tout à fait possible de demander un cloisonnement des environnements client. De même, la gestion des identités et des accès fait figure de pierre angulaire de la sécurité dans l’hébergement de données de santé. Le référentiel HDS impose des exigences très fortes sur la gestion des accès à privilèges (privileged access management - PAM). Dans le cadre de la certification HDS, elle garantit une règle fondamentale : seules les personnes autorisées, identifiées et qualifiées ont accès aux dossiers médicaux. Cet accès peut se faire selon la technologie MFA (authentification à deux facteurs) : c’est le cas pour de nombreux hébergeurs. Autre méthode, le RBAC (role-based access control ou contrôle d’accès basé sur les rôles), qui consiste à attribuer des droits à un rôle, puis d’assigner des utilisateurs à ces rôles.
La certification HDS V2.1 en approche
Autre critère à prendre en compte, le taux de disponibilité garanti désigne le pourcentage minimal de temps pendant lequel un service informatique (serveur, application SaaS, réseau) doit être pleinement opérationnel et accessible aux utilisateurs sur une période donnée. Selon les répondants, ce taux est au minimum de 99 % et frôle souvent les 100 % pour de nombreux prestataires.
En cas d’interruption de service, le plan de reprise d’activité (PRA) permet de basculer rapidement sur une infrastructure de secours et de restaurer les services critiques après un sinistre majeur (cyberattaque, incendie de data center, panne matérielle massive). Autant dire que dans le domaine des données de santé, le PRA doit être envisagé sérieusement. Et les différents hébergeurs ont également été interrogés sur la fréquence des sauvegardes et leur conservation. Quant au prix des prestations, il fait apparaître d’importantes variations. En la matière, le mieux est de s’adresser directement aux prestataires qui ajustent leur tarification aux besoins réels de chaque client.
Au mois de juillet dernier, l’Agence du numérique en santé a annoncé une nouvelle version 2.1 prévue pour cet automne. Au programme, des évolutions ciblées principalement destinées à renforcer la transparence sur les éventuels transferts de données et la soumission à des législations de pays tiers à l’Union européenne. Ces nouvelles exigences entreront en vigueur trois mois après la publication du référentiel.
